Google startet Security Reward Program für Android

Seit 2010 gibt es von Google ein Programm, das Entdecker von Sicherheitslücken in bestimmten Programmen belohnt. Letztes Jahr zahlte Google über 1,5 Millionen Dollar für Sicherheitslücken aus, die in Chrome oder anderen Google-Produkten gefunden wurden. Ende Januar wurde das Security Reward Program bereits um Android-Apps von Google erweitert, jetzt gibt es ein eigenes Security Reward Program für Android.

Das Programm bezieht sich auf Lücken in Android, die auf aktuell im Google Play Store verfügbaren Geräten ausnutzbar sind. Das bedeutet, dass nur das Nexus 6 und das Nexus 9 als „Forschungsgeräte“ in Frage kommen. Bis zu 8.000 Dollar zahlt Google für gefundene Lücken. Allerdings kommt es sehr auf die Qualität des Reports an. Um das Maximum an Belohnung einzustreichen, muss man Google auch gleich noch einen Patch mitliefern, außerdem muss es sich um einen kritischen Bug handeln. Wenn es sich nur um einen kleinen Bug handelt und man Google lediglich auf den Fehler im Code hinweist, kann man sogar leer ausgehen, wie die Tabelle zeigt.

Unabhängig davon belohnt Google auch Sicherheitsforscher, die sich mit der TrustZone oder Verified Boot beschäftigen, mit bis zu 20.000 Dollar für entdeckte Lücken. Weitere 30.000 Dollar gibt es, wenn solche Lücken über einen Remote-Zugriff ausgeführt werden können. Google ist der Meinung, dass Android nur mit einem offenen Sicherheitsprogramm stärker werden kann, wenn sich mehr und mehr Sicherheitsforscher darauf konzentrieren.

Weitere Informationen zum Security Reward Program für Android gibt es direkt bei Google. Abgesehen von den Belohnungen ist dieser Weg sicher nicht verkehrt. Die zahlreichen Bug Bounty-Programme haben schon für die Offenlegung zahlreicher Sicherheitslücken gesorgt. Das wiederum kommt auch dem Nutzer zugute, diese Lücken werden in der Regel zügig geschlossen.

(Quelle: Google Security Blog)